🇰🇷 한글 설명
WordPress용 Eventin 플러그인 4.1.17 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 관리자 전용 기능인 알림 흐름 자동화 워크플로우를 조회, 생성, 수정, 복제 및 삭제할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 관리자만 할 수 있는 중요한 설정들을 마음대로 바꾸거나 삭제할 수 있는 보안 결함입니다. 이로 인해 이벤트 알림 시스템이 조작될 위험이 있습니다.
🇺🇸 원문 (English)
The Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.1.17. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to view, create, update, clone, and delete notification flow event automation workflows that should be restricted to administrators.
📍 영향받는 시스템
WordPress Eventin 플러그인 4.1.17 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 권한 검증이 누락된 API 또는 기능을 호출하여 관리자 권한의 작업을 수행
🛡️ 대응 방법
Eventin 플러그인을 최신 버전으로 업데이트하여 권한 검증 로직이 수정된 패치를 적용하십시오.
🔧 검증 코드
출력된 결과에서 eventin 플러그인의 버전이 4.1.17 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'eventin'